CVE-2026-97200 in hackney
요약
\~에 의해 VulDB • 2026. 10. 26.
benoitc의 hackney에서 hackney_conn에 대한 자원 할당 제한 또는 스로틀링 부재 취약점이 존재하여, 악성 HTTP 서버가 과다하거나 매우 압축된 응답 본문을 통해 클라이언트 메모리를 고갈시킬 수 있습니다. hackney:request/5 및 hackney:body/1은 전체 응답 본문 반환하며 연결 프로세스의 버퍼 크기에 대한 제한이 없습니다. 클라이언트가 요청하는 모든 서버에서 이를 유발할 수 있습니다.
hackney_conn:read_full_body/2와 HTTP/2, HTTP/3 누적기는 본문의 끝까지 모든 청크를 추가합니다. {auto_decompress, true} 설정 시 버퍼링된 본문은 zlib:gunzip/1 또는 zlib:inflate/2를 사용하여 한 번에 확장되며, 이 함수들은 전체 출력을 즉시 반환합니다.
이 문제는 4.9.0 이전의 hackney: 2.0.0-beta.1부터 영향을 받습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.